Potwierdzony exploit TrustedVolumes: kradzież $6,7 mln w swapie RFQ, poszukiwane rozmowy

TrustedVolumes potwierdziło, że exploit TrustedVolumes obejmował niestandardowego proxy swap RFQ (request-for-quote) będącego pod jego kontrolą, z łącznymi stratami wynoszącymi około 6,7 mln USD na Ethereum. Firma blockchain Blockaid wcześniej prześledziła niemal 6 mln USD do resolver-kontraktu TrustedVolumes na Ethereum, a raporty o incydencie łączą wykorzystującego ze tym samym operatorem stojącym za incydentem 1inch Fusion v1 z marca 2025, chociaż luka leży w infrastrukturze kontrolowanej przez TrustedVolumes. Technicznie exploit celował w uprzywilejowany projekt proxy RFQ. TrustedVolumes twierdzi, że 3 adresy portfeli trzymają skradzione aktywa (około 3M$, 3M$ i 700K$). Firma jest „otwarta na konstruktywną komunikację” i proponuje rozwiązanie w stylu bounty akceptowalne dla obu stron. Szef bezpieczeństwa Hakan Unal (Cyvers) przypisał źródłową przyczynę rejestracji signerów bez uprawnień, zepsutej ochrony przed powtórzeniami oraz niezweryfikowanego pola źródła transferu — co budzi obawy, że drenaż mógłby być powtórzony z zatwierdzonych kont. 1inch odrzucił jakikolwiek bezpośredni udział, stwierdzając, że jego podstawowe kontrakty agregujące i środki użytkowników nie odniosły „wpływu”, przyznając jednak, że korzysta z TrustedVolumes jako jednego z wielu resolverów. Kluczowe cytowane przepływy to około 1 291,16 WETH, 206 282 USDT, 16,939 WBTC i 1 268 771 USDC przekierowanych z resolvera Ethereum. Dla traderów głównym krótkoterminowym zmartwieniem jest zaufanie kontrahentów do płynności powiązanej z 1inch i infrastruktury RFQ. Jeśli środki z exploitu TrustedVolumes zostaną zwrócone, sentyment może się ustabilizować; jeśli nie, premie za ryzyko mogą wzrosnąć dla dotkniętych miejsc płynności DeFi powiązanych z przepływami resolver/RFQ.